TACERT台灣學術網路危機處理中心

[技術]Android惡意軟體Gustuff針對100多家銀行以及32個虛擬貨幣應用程式

發佈日期：2019-03-28

參考位址： https://www.bleepingcomputer.com/news/security/gustuff-android-malware-targets-100-banking-and-32-cryptocurrency-apps/

消息內容：

Android惡意軟體Gustuff針對100多家銀行以及32個虛擬貨幣應用程式

新聞來源：Bleeping Computer

先前未報告的銀行木馬Gustuff，竊取全球100多家銀行的賬戶以及32個Android虛擬貨幣應用程式用戶的資金。Gustuff首次發現於2018年的4月，其後並以每月800美元的價格兜售Gustuff。開發人員將Gustuff作為AndyBot銀行惡意軟體的升級版本進行推廣，AndyBot於自2017年發現。

大範圍的目標

惡意軟體Gustuff針對各個國際型銀行，如美國銀行、蘇格蘭銀行、摩根大通銀行、富國銀行、美國第一資本公司、多倫多道明銀行以及PNC銀行。Gustuff還會搜索擁有虛擬貨幣錢包功能應用程式，或者尋找是否有BitPay、Cryptopay、Coinbase等服務。

資安公司Group-IB的研究人員注意到，Gustuff的程式碼中列出來自美國（27）、波蘭（16）、澳大利亞（10）、德國（9）和印度（8）銀行的應用程式。該惡意軟體對其他類型的應用程式有興趣：線上購物商店、支付系統和通訊軟體，例如PayPay、西聯匯款、eBay、沃爾瑪、Skype、WhatsApp、Gett Taxi、Revolut的應用程式。

Gustuff濫用Android輔助功能，並可以禁用Google Protect

Gustuff仰賴一種相對罕見的策略，達成訪問以及自動更改目標應用程式中的文字區段。在受感染的設備上，Gustuff使用Android輔助功能服務與其他應用程式進行互動。這項輔助功能服務主要是為了幫助殘障人士，能夠使用Android設備和應用程式。但Gustuff利用這項功能，達到繞過針對較舊版本銀行木馬的保護，以及更高版本的Android中出現的Google安全策略。

Group-IB表示，Gustuff的一個功能是關閉Android Play上內建防毒軟體（https://www.android.com/play-protect/）。Google的預設防禦功能借助機器學習方法，可自動掃描設備確保使用者受益於最新的安全措施。但Gustuff的開發人員表示，他們的程式碼可以在70％的案例中成功降低Google的防禦能力。

為大規模傳播和最高效率而打造

Gustuff通過受感染手機的聯繫人列表，發送帶有其APK安裝連結的訊息給聯絡人，以傳播到其他設備上。研究人員在3月28日發布的一份報告中指出，C&C伺服器上的資料庫也是用於分發惡意軟體。

Group-IB表示，Gustuff所帶來的威脅包含將有關受感染設備的資訊發送到C＆C伺服器、讀取/發送SMS訊息、發送USSD請求、啟動SOCKS5代理、傳輸檔案到 C＆C伺服器（包括文件掃描、螢幕截圖以及照片）、將設備重置為出廠設置。

另外Gustuff還會利用合法應用程式中的顯示圖片區塊，向受害者推送假通知。目的是通過顯示從攻擊者的伺服器下載的仿造登錄頁面，來竊取帳戶憑證。另一個目標是強制受害者登錄真實帳戶，以便惡意軟體可以在付款的流程上，執行自動填入資料功能，並達成未經授權的交易。

Gustuff開發團體是俄語語系的工作團隊，但主要運作於俄羅斯外。地下論壇上兜售的所有新Android特洛伊木馬都有類似的特徵。Group-IB惡意軟體部動態分析主管Rustam Mirkasymov表示，在逮捕一些操作大型的Android殭屍網路的幕後主事者後，俄羅斯的網路盜竊案數量大幅下降。隨著特洛伊木馬的開發者轉向其他市場，一些駭客客製化這些洛伊木馬樣本後，重複將其用於攻擊

回最新消息列表頁